Leveringsfrist: Til sammen ord. Universitetet i Oslo Det juridiske fakultet Kandidatnummer: 634

Transkript

1 Arbeidsavtalen og arbeidsforholdet som rettslige grunnlag for å behandle personopplysninger om arbeidstaker - Med særlig vekt på personopplysningsloven 8 a og f Universitetet i Oslo Det juridiske fakultet Kandidatnummer: 634 Leveringsfrist: ( * regelverk for masteroppgave på: aver_jur5030_5060.html ) Til sammen ord

2 Innholdsfortegnelse 1 INNLEDNING Avhandlingens tema og avgrensninger Problemstillingens bakgrunn og aktualitet Oppgavens tema Avgrensninger Rettskildebildet- og bemerkninger EUs personverndirektiv og personopplysningsloven Personverndirektivet Personopplysningsloven og forarbeider Arbeidsmiljøloven Den europeiske menneskerettskonvensjon og Den europeiske menneskerettsdomstolens praksis Rettspraksis og ulovfestet rett Datatilsynet og Personvernnemnda Begreper Styringsrett Personvern Personopplysningslovens begrepsbruk Den videre fremstilling 16 2 HENSYN Innledning Arbeidsgivers behov og interesser i behandling Arbeidstakers interesser og behov 20 3 NØDVENDIGHETSKRAVET 22 I

3 3.1 Innledning og den videre fremstilling Nødvendighetskravets innhold Formålet med behandlingen Saklighetskravet Uttrykkelig angitt formål I arbeidsgivers virksomhet Omfangsbegrensning og forholdsmessighet Sammenfatning 29 4 HVILKE PERSONOPPLYSNINGER ER DET NØDVENDIG AT ARBEIDSGIVER BEHANDLER FOR Å OPPFYLLE ARBEIDSAVTALEN JFR. 8 BOKSTAV A Arbeidsavtalen og dens typiske innhold Personaladministrasjon og personalregistre Datatilsynets liste Nødvendig behandling bemerkninger til enkelte av opplysningskategoriene i Datatilsynets liste Nødvendig behandling bemerkninger til andre opplysningskategorier enn de som fremgår av Datatilsynets liste Grensen mot andre behandlingsgrunnlag Grensen mot lovbestemmelse Grensen mot samtykke Implisitt arbeidsavtalens samtykkeelement Eksplisitt vilkår i arbeidsavtalen Grensen mot bokstav f Berettiget interesse og interesseavveining Grensen mellom bokstav a og bokstav f behandlingsformål tilknyttet arbeidsavtalen eller arbeidsforholdet 43 5 PERSONOPPLYSNINGER SOM KAN VÆRE NØDVENDIG Å BEHANDLE FOR Å OPPFYLLE ARBEIDSFORHOLDET JFR. PERSONOPPLYSNINGSLOVEN 8 F Innledning 47 II

4 5.2 Personopplysninger som fremkommer gjennom kontrolltiltak Innledning og den videre fremstilling Kontrolltiltak Sikkerhets- og overvåkningstiltak Arbeidsrettslige begrensninger for å iverksette kontrolltiltak Forholdet mellom de arbeidsrettslige og de personvernrettslige skranker Behandlingsadgangen for personopplysninger som fremkommer som et resultat av kontrolltiltak Behandlingsadgangen for opplysninger som fremkommer gjennom sikkerhetstiltak m.m GPS Elektroniske tilgangskontroller Behandlingsadgangen for opplysninger som fremkommer gjennom overvåkningstiltak GPS Elektroniske tilgangskontroller Sammenfatning 64 6 KONSEKVENSER AV BEHANDLING AV PERSONOPPLYSNINGER UTEN AT NØDVENDIG BEHANDLINGSGRUNNLAG FORELIGGER 65 7 KILDEREGISTER 67 8 LISTER OVER VEDLEGG A III

5 1 Innledning 1.1 Avhandlingens tema og avgrensninger Problemstillingens bakgrunn og aktualitet Den teknologiske utviklingen de siste årene har vært massiv. Spesielt når det kommer til elektroniske behandling og lagring av informasjon, herunder personopplysninger. 1 Tendensen har på godt og vondt også preget arbeidslivet, blant annet ved at arbeidsgivere stadig tar i bruk nye overvåknings- og behandlingsmetoder. På den ene siden får man en stadig tilgjengelighet både til informasjon og kommunikasjon. Som arbeidstaker 2 blir en også mer tilgjengelig, blant annet ved at arbeidsdagen preges av en større selvstendighet og fleksibilitet, samtidig som grensene mellom privatliv og arbeidsliv viskes ut. 3 På den annen side medfører utviklingen at stadig flere personopplysninger om ansatte i økende grad registreres. Videre gjør den nye teknologien det mulig for arbeidsgivere å overvåke og kontrollere sine ansatte i en langt større skala enn det som tidligere har vært mulig, og også på den måten samle inn personopplysninger. Et eksempel som kan nevnes er diskusjonen rundt arbeidsgiveres GPS-overvåkning 4 av yrkessjåfører og andre ansatte. Både medieoppslag og den siste tids mange henvendelser til Datatilsynet viser at dette er aktuelt. 5 Arbeidsgivers overvåknings- og 1 Opplysninger som kan knyttes til en enkelt person jfr. personopplysningsloven 2 nr.1. 2 Jeg legger i det følgende definisjonen i arbeidsmiljøloven 1-8 nr.1 til grunn. 3 Kjølaas 2010 s. 27 og NOU s En sporingsenhet i (yrkes)bilen gjør det mulig for arbeidsgiver å registrere ganske omfattende opplysninger som bilens hastighet, stopp, bråbrems og lokasjon i sanntid. Disse kan igjen knyttes til den enkelte arbeidstaker og aspx. 1

6 registreringsmuligheter ved bruk av tilgangskontroller 6 og tidsregistrering kan også nevnes. Et siste forhold som kan nevnes er at allerede innsamlet informasjon lett kan sammenstilles med annen informasjon og bli brukt til andre formål enn det opprinnelige. Dette medfører utfordringer for arbeidstakers personvern. 7 Blant annet fordi det ligger et betydelig makt- og misbrukspotensiale i å ha tilgang til slike opplysninger. Dette tilsier at det både bør og må finnes grenser for arbeidsgivers adgang til å bruke dem Oppgavens tema Temaet som drøftes i avhandlingen er arbeidsavtalen og arbeidsforholdet som rettslige grunnlag for å behandle personopplysninger om arbeidstaker. Siktemålet er å redegjøre for noen relevante problemstillinger og situasjoner. Etter personopplysningsloven 8 11 jfr. 8 og 9 kreves det alltid at det foreligger et lovlig behandlingsgrunnlag. Et behandlingsgrunnlag kan karakteriseres som en form for et legalitetskrav, slik at det ikke uten rettslig hjemmel kan foretas inngrep i den personlige integritet i form av behandling av personopplysninger. I følge personopplysningsloven 8 kan personopplysninger bare behandles dersom den registrerte har samtykket, eller det er fastsatt i lov at det er adgang til slik behandling, eller behandlingen er nødvendig for a) å oppfylle en avtale med den registrerte, eller for å utføre gjøremål etter den registrertes ønske før en slik avtale inngås. (...)[eller] 6 Styrer hvem som skal ha tilgang til ulike områder med mulighet for blant annet å lagre informasjon om vedkommendes inn- og utpasseringer. 7 NOU s Lov om behandling av personopplysninger av 14.april 2000 nr

7 f)at den behandlingsansvarlige 5 eller tredjepersoner som opplysningene utleveres til kan vareta en berettiget interesse, og hensynet til den registrertes 3 personvern ikke overstiger denne interessen. Det finnes altså tre alternative behandlingsgrunnlag; samtykke, lov eller nødvendighetsgrunn. De sentrale behandlingshjemlene for avhandlingens tema er personopplysningsloven 8 a og f. En avtale etter bokstav a vil kunne være så mangt, for eksempel en kjøpsavtale og låneavtale. 9 I denne avhandlingen er det arbeidsavtalen som drøftes. Avhandlingen reiser to hovedspørsmål. Det første er hvilke personopplysninger om arbeidstaker arbeidsgiver 10 kan og må behandle i kraft av arbeidsavtalen. Denne drøftelsen knytter seg til 8 a. Det andre hovedspørsmålet er hvilke personopplysninger arbeidsgiver kan behandle som en følge av selve arbeidsforholdet. Denne drøftelsen knytter seg først og fremst til 8 f. Av de to hovedspørsmålene følger det tre underproblemstillinger. Den første er hva som menes med arbeidsavtalen. Hva som legges i begrepet kan være ganske diffust ettersom det kan ha en flytende grense mot både lovhjemmel, samtykke og arbeidsforholdet. Problemstillingen er samtidig interessant fordi oppgavens ene hovedspørsmål forutsetter arbeidsavtalen som behandlingsgrunnlag. Den andre er for hvilke personopplysninger og behandlinger personopplysningsloven 8 a i det hele tatt vil kunne gi hjemmel for og hvilke bestemmelsen ikke kan være hjemmel for. Dette er et spørsmål om bestemmelsens anvendelsesområde og grensen mot alternative behandlingsgrunnlag. Spørsmålet henger nært sammen med det forrige, ettersom formålet med den ønskede behandling må være knyttet til arbeidsavtalens oppfyllelse, for at bestemmelsen skal kunne anvendes. 9 Wiik Johansen m.fl. s Jeg legger her til grunn definisjonen i arbeidsmiljøloven 1-8 nr. 2. 3

8 Den tredje problemstillingen er hvilke personopplysninger som konkret vil være nødvendig å behandle for å oppfylle arbeidsavtalen med arbeidstakeren eller i tilknytning til arbeidsforholdet. Oppgaven redegjør for opplysninger som relativt klart er nødvendig at arbeidsgiver behandler for å oppfylle arbeidsavtalen, samt opplysninger det ikke like klart er nødvendig at behandles. Dette krever også en drøftelse av som ligger i kravet til nødvendighet. Videre kommer jeg inn på området kontrolltiltak 11 og arbeidsgivers adgang til å, som følge av arbeidsforholdet, behandle de personopplysninger som fremkommer gjennom slike. Bakgrunnen for dette er at en rekke av de personopplysninger som arbeidsgivere behandler fremkommer nettopp gjennom kontrolltiltak. I forlengelsen av dette ser jeg på to aktuelle typer kontrolltiltak, GPS og elektroniske tilgangskontroller, og den type personopplysninger arbeidsgiver på denne måten får tilgang til. Jeg drøfter behandlingsadgangen ut ifra ulike formål Avgrensninger Ettersom utgangspunktet for oppgavens tema er arbeidsavtalen og arbeidsforholdet som behandlingsgrunnlag, har jeg valgt å avgrense mot arbeidssøkere da disse enda ikke har inngått noen arbeidsavtale med arbeidsgiver. Dette innebærer en avgrensning mot annet alternativ i personopplysningsloven 8 bokstav a. Videre konsentrerer drøftelsen seg om arbeidsavtalen. Avhandlingen tar således ikke stilling til problemstillinger tilknyttet eventuelle andre avtaler mellom arbeidsgiver og arbeidstaker, som tariffavtaler, avtaler om gratis avis eller permisjon. Personopplysningsloven og personopplysningsforskriften 12 stiller en rekke vilkår og krav til personopplysningsbehandlingen. 13 Det fører imidlertid for langt å gå inn på 11 Kontrolltiltak skal sikre at arbeidstakerne utfører arbeidet slik de skal og for øvrig opptrer innen arbeidsforholdets gjeldende rammer jfr. Jakhelln 2006 s Jfr. punkt flg. 12 Forskrift om behandling av personopplysninger (personopplysningsforskriften) (FOR ). 13 Eksempelvis informasjonssikkerhet og internkontroll jfr. personopplysningsloven 13 og 14. 4

9 disse, slik at det avgrenses mot andre krav enn kravet til behandlingsgrunnlag og grunnkravene til behandling i 11. Som allerede nevnt, kommer jeg inn på temaet kontrolltiltak og overvåkning i arbeidsforholdet. Fordi avhandlingen har et personvernrettslig utgangspunkt, og av plasshensyn, behandles de arbeidsrettslige vilkårene for å iverksette kontrolltiltak kun overfladisk. Oppgavens tema er adgangen til å behandle de opplysninger som fremkommer som et resultat av kontrolltiltaket. Det er likevel grunn til å nevne at det er en nær indre sammenheng mellom problemstillingene. 14 For behandling av sensitive personopplysninger 15 kreves det i tillegg at et av vilkårene i personopplysningsloven 9 er oppfylt. 16 Det foretas ingen særskilt drøftelse av denne behandlingsadgangen, men i den grad det er naturlig flettes drøftelsen av denne adgangen inn i den øvrige. Personopplysningsloven gjelder både offentlig og private arbeidsgivere jfr. personopplysningsloven 4. Begge sektorer drøftes under ett, slik at det avgrenses mot eventuelle ulikheter som følger av andre regelverk, for eksempel forvaltningsrettslige prinsipper som forbudet mot myndighetsmisbruk NOU s. 407 og Ot.prp.nr.49 ( ) s Etter personopplysningsloven 2 nr. 8 er dette opplysninger om a) rasemessig eller etnisk bakgrunn, eller politisk, filosofisk eller religiøs oppfatning b) om personen har vært mistenkt, siktet, tiltalt eller dømt for en straffbar handling c) helseforhold d) seksuelle forhold eller e) medlemskap i fagforeninger. 16 I arbeidsforhold er det særlig bokstav f som er aktuell. Etter denne kan en behandling foretas dersom det er nødvendig for at arbeidsgiver kan gjennomføre sine arbeidsrettslige plikter eller rettigheter. 17 Underutvalgets rapport s

10 1.2 Rettskildebildet- og bemerkninger EUs personverndirektiv og personopplysningsloven Personopplysningsloven med forskrift bygger på EUs personverndirektiv. 18 Til sammen utgjør de de viktigste rettskildene når det gjelder personvern Personverndirektivet Personverndirektivet er et minimumsdirektiv og angir relativt detaljerte minstestandarder, herunder en rekke grunnregler for behandlingen av personopplysninger. Et av direktivets formål er å sikre et høyt nivå på personopplysningsvernet, 20 herunder behandlingsadgangen. Praksis fra EF-domstolen rundt fortolkningen av direktivet vil være relevant for anvendelsen av personopplysningsloven jfr. EØS-avtalen art. 6 jfr. EØS-loven Fordi direktivet er et minimumsdirektiv kan ikke nasjonale myndigheter gi borgerne et dårligere vern. I Norge er det imidlertid innført et relativt sterkt vern. Jeg har imidlertid i avhandlingen ikke brukt noe særlig praksis fra EF-domstolen Personopplysningsloven og forarbeider Etter at personregisterloven 22 var endret en rekke ganger for å følge med i den hastige teknologiske utviklingen, oppnevnte regjeringen Personvernutvalget i Utvalgets arbeid resulterte i personopplysningsloven, som i all hovedsak viderefører personregisterloven. 18 Direktiv 95/46 EF. 19 Kjølaas 2010 s Jfr. fortalens nr. 10 og Lov om gjennomføring i norsk rett av hoveddelen i avtale om Det europeiske økonomiske samarbeidsområde (EØS) m.v. ( LOV ). 22 LOV nr 48: Lov om personregistre m. m. 6

11 Personopplysningsloven gjelder for behandling av personopplysninger på alle samfunnsområder, også arbeidslivet, og er således sentral for avhandlingen. Den er imidlertid ikke tilpasset arbeidsforhold. Loven tar sikte på å verne den enkeltes personlige integritet mot den krenkelse en behandlingen innebærer. Dette fremkommer blant annet av formålsbestemmelsen i 1. Det saklige virkeområdet avgrenses etter behandlingsmåte. 23 Når det gjelder kontrolltiltak kommer loven til anvendelse dersom kontrolltiltaket medfører eller innebærer behandling av personopplysninger, og vil i så fall regulere denne siden av tiltakets gyldighet. 24 Personopplysningsforskriften er gitt med hjemmel i lovens 3 og gir utfyllende regler om en rekke forhold tilknyttet behandlingen. Lovens forarbeider er NOU Et bedre personvern, Ot.prp.nr.92 ( ) Om lov om behandling av personopplysninger og Innst. O. nr. 51 ( ) Innstilling fra justiskomiteen om lov om behandling av personopplysninger. Disse er sentrale for forståelsen av en del begreper i loven, samt de hensyn loven bygger på. Imidlertid er det grunn til å bemerke at det uttales svært lite om hva som ligger i det skjønnsmessige, og for oppgaven sentrale, begrepet nødvendig. Det kan i denne sammenheng være grunn til å bemerke at NOU og Ot.prp. nr. 108 ( ) 25 har noen generelle uttalelser vedrørende begrepet. På grunn av den manglende omtalen i forarbeidene til selve personopplysningsloven, har jeg derfor funnet det nødvendig å bruke disse. 23 Jfr. personopplysningsloven 3 første ledd og punkt NOU 2004:5 s Forarbeidene til ny politiregisterlov. Omhandler konkret politiets og påtalemyndighetens personopplysningsbehandling i kriminaletterforskningen. 7

12 1.2.2 Arbeidsmiljøloven Arbeidsmiljøloven 26 gjelder for de aller fleste arbeidsforhold, jfr. lovens 1-2. Det som likevel er spesielt i forhold til avhandlingen, er at loven ikke regulerer arbeidsgivers behandling av personopplysninger. Dette reguleres av personopplysningsloven jfr. arbeidsmiljøloven 9-1 (2) og medfører at arbeidsmiljøloven får relativt liten betydning i oppgaven. Lovens kapittel 9 er likevel delvis interessant ettersom det regulerer adgangen til å iverksette kontrolltiltak. Iverksettelsen av kontrolltiltak har, i motsetning til personopplysningsbehandling, et arbeidsrettlig utgangspunkt. 27 Fordi kontrolltiltak i arbeidsforhold ofte enten innebærer eller forutsetter en senere behandling av personopplysninger, er det et interessant spørsmål hvorvidt kravene etter arbeidsmiljøloven 9-1 (1) korresponderer med arbeidsgivers behandlingsadgang etter personopplysningsloven 8 a og f Den europeiske menneskerettskonvensjon 28 og Den europeiske menneskerettsdomstolens praksis. Den europeiske menneskerettighetskonvensjonen (EMK) gjelder etter menneskerettsloven 29 2 jfr. 3 som norsk lov og har i kollisjonstilfelle forrang. For privatlivets fred, herunder personopplysningsvern og restriksjoner på behandlingsadgangen, er det EMK art. 8 som er relevant. I følge EU direktivets fortale nr. 10 og EF-domstolens praksis skal personverndirektivet tolkes i samsvar med EMK art. 8 og EMDs praksis rundt denne. Etter hva jeg kjenner til er det ingen avgjørelser fra EMD som direkte gjelder arbeidsgivers behandlingsadgang. Domstolen har imidlertid i Niemietz vs. Germany sak 26 Lov om arbeidsmiljø, arbeidstid og stillingsvern mv. av 17. juni 2005 nr NOU s European Convention for the Protection of Human Rights and Fundamental Freedoms vedtatt Lov om styrking av menneskerettighetenes stilling i norsk rett av 21. mai 1999 nr

13 13710/88 30 lagt til grunn at arbeidsforhold vernes av bestemmelsen. Dette medfører at inngrep i retten til privatliv i arbeidsforhold, herunder arbeidsgivers personopplysningsbehandling, eventuelt må rettferdiggjøres etter art. 8 nr. 2. Artikkelen gjelder først og fremst gjelder overfor offentlige myndigheter, men gir et visst vern også mot inngrep fra private. 31 I arbeidsforhold innebærer dette at bestemmelsen kan få anvendelse også innen privat sektor Rettspraksis og ulovfestet rett Både det ulovfestede personvern og skrankene for å iverksette kontrolltiltak er, blant annet, utviklet gjennom rettspraksis. Det ulovfestede personvern omfatter en rekke samfunns- og rettsområder, det er imidlertid noe usikkert hvor langt vernet rekker. 32 Fra arbeidslivets område kan Rt s. 616 (Gatekjøkken-avgjørelsen) nevnes. Kjæremålsutvalget slo i denne avgjørelsen fast at arbeidstaker har krav på et alminnelig vern for personligheten på arbeidsplassen. Rettspraksis rundt personopplysningsloven med direkte relevans for oppgavens tema er sparsommelig, især høyesterettspraksis. 33 Det har derfor vært nødvendig å bruke en del underrettspraksis. 30 Dommens avsnitt 29 og Schartum og Bygrave 2011 s. 107 note Schartum og Bygrave 2011 s. 107 med videre henvisninger. 32 Henning Jakhelln og Helga Aune: Arbeidsrett.no Kommentarer til arbeidsmiljøloven Claude A. Lenth 9-1 note 7 (pr. 2011). 33 Søk i lovdatas søkebase på personopplysningsloven 8 + nødvendig gir pr. 7. april treff. Mange av disse er ikke avgjørelser på bakgrunn av nødvendighetsvurderingen, eksempelvis Rt s Videre dreier de fleste sakene seg om hvorvidt bevismaterialet, som er innhentet i strid med personvernet og personopplysningsloven, kan føres i avskjedssaker. Avgjørelsene kan imidlertid få en viss betydning da dette normalt først krever en vurdering av behandlingens lovlighet etter personopplysningsloven. Mesteparten underettspraksis. 9

14 1.2.5 Datatilsynet og Personvernnemnda Datatilsynet er et uavhengig forvaltningsorgan, jfr. personopplysningsloven 42 første ledd første punktum. Etter 42 tredje ledd skal det føre tilsyn med at loven blir overholdt og utforme generelle retningslinjer om hvordan loven skal praktiseres og forstås. Som vi skal se, overlater lovens 8 a-f et visst skjønn til den behandlingsansvarlige. 34 Datatilsynet har kompetanse til å overprøve dette. Som nevnt, gir forarbeidene liten veiledning om denne skjønnsutøvelsen. Det er forutsatt at tilsynets praksis på sikt vil utfylle de skjønnsmessige bestemmelsene og at praksisen med tiden vil lette anvendelsen. 35 Tradisjonelt har ikke forvaltningspraksis særlig stor rettskildevekt, men på bakgrunn av uttalelsene i forarbeidene og relativt lite rettspraksis rundt skjønnsutøvelsen, vil retningslinjene og praksisen ha en viss interesse. Personvernkommisjonen 36 har imidlertid uttalt at forvaltningspraksis på personvernrettens område har stor betydning. 37 En ulempe med dette er at tilsynets vedtak er relativt vanskelig tilgjengelig. 38 Dette er en av grunnene til at tilsynets vedtak er lite brukt i avhandlingen. Derimot brukes en del veiledere utarbeidet og publisert av tilsynet. 39 Videre har jeg også, på tross av den tvilsomme rettskildevekten, brukt opplysninger og materiale innhentet fra egen korrespondanse med en av tilsynets rådgivere. 40 Etter personopplysningsloven 42 (4) og 43 er Personvernnemnda fast klageorgan med full kompetanse for tilsynets vedtak i personvernsaker. Ettersom partene som regel vil velge å klage Datatilsynets avgjørelser inn for nemnda, fremfor å gå til søksmål, vil også nemndas praksis ha en viss praktisk betydning. Det finnes imidlertid lite praksis også herfra hva konkret angår avhandlingens tema. 34 Personopplysningsloven 2 nr Ot.prp.nr.92 ( ) Kapittel II merknader til Utvalg nedsatt at Regjeringen 25. mai 2007 jfr. NOU s Ibid punkt Jørstad s Samtale med og e-post fra Mari Hersoug Nedberg. E-posten vedlagt vedlegg 1. 10

15 1.3 Begreper Styringsrett Styringsretten er sentral i arbeidsforhold fordi arbeidsgiver i kraft av denne ensidig kan ta ulike beslutninger. 41 Før arbeidsmiljøloven 2005 var styringsretten et mulig hjemmelsgrunnlag for kontrolltiltak. Styringsretten defineres gjerne som arbeidsgivers (...)rett til å organisere, lede, kontrollere og fordele arbeidet. 42 I tillegg kommer retten til å inngå arbeidsavtaler og bringe dem til opphør. 43 En konsekvens av styringsretten er at det oppstår en noe skjev maktbalanse i arbeidsforholdet. Dette tilsier at retten begrenses. Blant annet begrenses den av et alminnelig saklighets- og forholdsmessighetskrav, 44 samt lovgivning, tariffavtaler og selve arbeidsavtalen. Eksempler på begrensinger i styringsretten er personopplysningsloven 8 a og f om kravet til nødvendig grunn for arbeidsgivers behandling av personopplysninger Personvern Personvern kan defineres på ulike måter. Likevel står menneskets medfødte ukrenkelighet og kravet på respekt fra andre mennesker for sin integritet og sitt privatliv sentralt. 45 Som nevnt eksisterer det et ulovfestet personvern også i arbeidsforhold, slik at prinsippene får betydning også her. 46 Personvernbegrepet blir ofte sett på som et samlebegrep for et knippe interesser og verdier. I følge interesseteorien 47 er det syv sentrale personverninteresser. Disse er diskresjon, innsyn, fullstendighet, privatlivets fred, et borgervennlig samfunn, vern mot maktmisbruk og overdreven kontroll og et robust samfunn, 48 og gir seg på ulike måter 41 Jakhelln 2006 s Rt s.1602 (Nøkk) s Jakhelln 2006 s Rt s. 418 (Kårstø) s NOU s. 11 og s. 29 flg. for redegjørelse av begrepets utvikling og diskusjon rundt innhold. 46 Punkt og Rt s. 616 særlig s Den rådende juridiske teorien på området. Teorien tar sikte på å beskrive de antatte interessene bak personvernet jfr. NOU punkt NOU punkt

16 utslag i personopplysningsloven jfr. også personopplysningsloven 1 annet ledd. I tillegg rettes det gjerne tre ulike fokus mot personvernet; det integritetsfokuserte, det maktfokuserte og det beslutningsfokuserte. 49 Personvernutvalget omtaler personvernbegrepet slik: På et helt generelt plan kan personvernet sies å gjelde krav til behandling av personopplysninger når kravene er begrunnet ut i fra visse ideelle (ikke-økonomiske) interesser som en tillegger fysiske (og eventuelt juridiske) personer. 50 I den siterte definisjonen fremheves personopplysningsvernet, det er også dette som står sentralt i avhandlingen. Personopplysningsvernet er et viktig aspekt av den personlige integritet og retten til privatliv 51 og kan beskrives som normer for hvordan behandling av personopplysninger skal foregå, slik at personlig integritet, autonomi og privatlivets fred blir best mulig ivaretatt. I personopplysningsloven kommer disse normene blant annet til uttrykk ved at en behandling bare kan foretas når den er nødvendig. I NOU fremheves fire personvernprinsipper som blir sett på som særlig sentrale i norsk arbeidsliv; økt medarbeiderdeltakelse, medbestemmelse, saklig begrunnelse ved behandling av personopplysninger og et proporsjonalitetsprinsipp. 52 De tre siste er relevante i et personopplysningsperspektiv, blant annet ved å begrense og for øvrige sette krav til arbeidsgivers behandling av personopplysninger. 49 NOU punkt 3.3 og Jeg går av hensyn til plass ikke inn på de ulike perspektivene, men nevner at de til dels gir seg utslag i hensynene til arbeidsgiver og arbeidstaker jfr. kapittel Ibid. punkt Schartum og Bygrave 2011 s Jfr. også NOU s. 32 om skillet mellom personvern og personopplysningsvern. 52 S

17 1.3.3 Personopplysningslovens begrepsbruk Personopplysningsloven 2 definerer en del begreper som er sentrale både i loven og avhandlingen. Det kan derfor være behov for en avklaring av noen av disse. Personopplysning defineres i første ledd nr. 1 som opplysninger og vurderinger som kan knyttes til en enkeltperson. Begrepet er vidtrekkende og komplekst. Videre er begrepet viktig for forståelsen av loven ettersom den beskytter personvernet mot den krenkelse en behandling av personopplysninger innebærer. I følge forarbeidene omfattes opplysninger og vurderinger som direkte eller indirekte kan knyttes til identifiserbare fysiske personer. 53 Aktuelle personopplysninger i arbeidsforhold vil kunne være en e-post (Rt s på side ) eller registreringer av når arbeidstaker kommer og går. 54 Videre vil en GPS-sensor kunne gi opplysninger om arbeidstakers lokasjon i sanntid, som igjen vil være personopplysninger. Om ikke noe annet presiseres eller klart fremgår av sammenhengen brukes personopplysning i avhandlingen om personopplysninger om arbeidstaker. Behandling av personopplysning defineres i 2 nr. 2 som enhver bruk av personopplysninger, som f.eks. innsamling, registrering, sammenstilling, lagring og utlevering eller en kombinasjon av slike bruksmåter, Hva en behandling av personopplysning innebærer, er viktig for lovens anvendelse jfr. lovens 1, ettersom en bruk av personopplysninger som etter loven ikke er en behandling heller ikke fordrer en behandlingshjemmel. Ordlyden og hensynene bak formålsangivelsen i 1 tilsier at begrepet er ment å favne vidt. Videre fremgår det av ordlyden at både enkeltvise handlinger og en serie handlinger kan være en behandling. I følge forarbeidene vil en rekke ulike handlinger til sammen utgjøre en behandling dersom de har et felles formål. 55 Definisjonen er teknologiuavhengig. Det teknologiske 53 Ot.prp.nr.92 ( ) s Jakhelln 2006 s Ot.prp.nr.92 ( ) s

18 aspektet ved lovens anvendelsesområde kommer først inn i forbindelse med om opplysningene skal inn i et personregister eller ikke, jfr. 3 første ledd. I avhandlingen brukes behandlingen om arbeidsgivers behandling av personopplysninger om arbeidstaker. I følge 2 nr. 3 er registre, fortegnelser m.v. der personopplysninger er lagret systematisk slik at opplysninger om den enkelte kan finnes igjen, et personregister. Begrepets praktiske betydning er begrenset og får kun betydning for å avgrense lovens anvendelsesområde ved manuell behandling jfr. 3 første ledd b. Det vesentlige innholdet i definisjonen vil være manuelle registre som er ordnet slik at identifiserbare enkeltpersoner kan brukes som søkebegrep. 56 I arbeidsforhold betyr dette at personopplysninger som skal inn i et personalregister, krever et behandlingsgrunnlag Behandlingsansvarlig er den som bestemmer formålet med behandlingen av personopplysninger og hvilke hjelpemidler som skal brukes, jfr. 2 nr. 4. Som det fremgår av definisjonen er det denne som bestemmer at en personopplysning skal behandles, hvorfor og hvordan. Med denne retten følger det, blant annet, et ansvar å tilse at behandlingen skjer på bakgrunn av lovlig grunnlag, for eksempel at den er nødvendig for å oppfylle arbeidsavtalen. Den behandlingsansvarlige kan være både en fysisk og juridisk person, som regel en person i en ledende stilling. I arbeidsforhold vil den behandlingsansvarlige typisk være arbeidsgiver eller en som opptrer på vegne av denne dersom arbeidsgiver er en juridisk person. 57 Idet følgende brukes behandlingsansvarlig og arbeidsgiver noe om hverandre. I følge personopplysningsloven 2 nr. 6 er den registrerte den som en personopplysning kan knyttes til, og vil være den personen opplysningen angår. I arbeidsforhold vil den registerte typisk være en arbeidstaker. Det er slik begrepet brukes i avhandlingen. 56 Wiik Johansen m.fl. s Jakhelln 2006 s

19 Lovens anvendelsesområde avgrenses delvis ved hjelp av begrepet elektroniske hjelpemidler jfr. 3 første ledd a. Personvernnemnda vurderte i PVN hva det vil si at en behandling skjer ved hjelp av elektroniske hjelpemidler. Det ble uttalt at det avgjørende vil være hvorvidt behandlingen skjer (...)automatisk, uten intervensjon av mennesker. Eksempelvis vil, i følge Personvernnemnda, et lydbåndopptak som blir slått av og på manuelt ikke være elektroniske behandling, heller ikke et håndholdt kamera, mens fjernsynsovervåking vil. Samtykke er en frivillig, uttrykkelig og informert erklæring fra den registrerte om at han eller hun godtar behandling av opplysninger om seg selv, ( 2 nr.7). Bakgrunnen og grunnlaget for innholdet i definisjonen er individets selvråderett, 58 det vil si retten til å ha kontroll og bestemmelsesrett over personopplysninger som seg selv. Som det fremgår av legaldefinisjonen, består begrepet av tre grunnleggende vilkår for at samtykket skal være gyldig etter personopplysningsloven. I tillegg må det innfortolkes et krav til individualitet jfr. ordlyden den registrerte og NOU Kravet om individualitet er også en naturlig følge av selvråderetten, og innebærer at kollektivt samtykke normalt ikke er tilfredsstillende. 59 I uttrykkelig ligger det et aktivitetskrav. Videre er samtykket informert dersom den som samtykker har fått all informasjon om alle relevante forhold. Kravet til frivillighet innebærer at det ikke må foreligge noen form tvang. Kravet er grunnleggende og selvsagt for at et samtykke kan sies å være reelt. Hva som igjen regnes som tvang er et vurderingsspørsmål. Det er for eksempel helt klar at samtykket ikke er frivillig dersom den som samtykker blir truet på livet, men disse tilfellene er neppe særlig aktuelle i arbeidsforhold. Fra dette klare utgangspunkt vil det kunne oppstå mer tvilsomme tilfelle. Det er nettopp tvilen rundt hvor reell frivilligheten er, som gjør at samtykke ikke egner seg så godt som behandlingsgrunnlag i arbeidsforhold, noe praksis fra både 58 Wiik Johansen m.fl. s Wiik Johansen m.fl. s. 76 og NOU s

20 Art. 29-gruppen, 60 Personvernnemnda og Datatilsynet viser. 61 Dette medfører at de alternative behandlingsgrunnlagene i personopplysningsloven 8 ansees med tilfredsstillende. For eksempel at behandlingen er nødvendig for å oppfylle arbeidsavtalen eller for å ivareta en berettiget interesse i arbeidsforholdet. Som den senere drøftelse vil vise, kan samtykket få en noe uklar og overlappende grense mot arbeidsavtalen fordi denne vil kunne sees på som en form for samtykke. Kravene til samtykke, og særlig frivillighetskravet, reiser også et spørsmål om i hvor stor utstrekning det er adgang til i arbeidsavtalen særskilt å avtale en større behandlingsadgang enn det som ellers følger av loven. 1.4 Den videre fremstilling Ettersom både personopplysningsloven og generelle personvernrettslige prinsipper bygger på en rekke interesser og avveininger partene imellom, har jeg valgt å gjennomgå en del av disse i kapittel to. Også hensyn til samfunnet generelt kan tilsi at personopplysninger behandles eller ikke behandles. Jeg har imidlertid valgt å avgrense mot samfunnshensyn ettersom avhandlingen først og fremst konsentrerer seg om de to partene i arbeidsforholdet. I kapittel tre foretas en generell drøftelse av kravet til nødvendighet. I kapittel fire drøftes arbeidsgivers behandlingsadgang etter personopplysningsloven 8 a. Det stilles spørsmål om hva som menes med arbeidsavtalen, og i denne tilknytning undersøkes grensen mot andre behandlingsgrunnlag. Jeg drøfter også nødvendigheten av arbeidsgivers behandling av enkelte personopplysninger tilknyttet ulike formål. I kapittel fem knyttes den generelle fremstilling av nødvendig grunn opp til arbeidsgivers behandlingsadgang for personopplysninger som fremkommer som et 60 Arbeidsgruppe innen EU/EØS, etablert i henhold til personverndirektivet art. 29. Skal rådgi Kommisjonen om problemstillinger knyttet til personopplysninger. 61 Kjølaas 2010 s

21 resultat av kontrolltiltak. I denne tilknytning blir det også knyttet noen bemerkninger til den arbeidsrettslige adgang for å iverksette kontrolltiltak, samt forholdet mellom arbeidsmiljøloven og personopplysningsloven. I kapittel seks gis en kort oversikt over ulike mulige konsekvenser dersom arbeidsgiver har behandlet personopplysninger uten lovlig behandlingsgrunnlag. 17

22 2 Hensyn 2.1 Innledning Personverninteressene 62 er generelt tungtveiende, men det er også de interessene som kan begrunne inngrep i personvernet. Eksempelvis nevnes økonomiske interesser, ønske om å motvirke sykdom, skade og kriminalitet samt ytringsfrihet. 63 Dette er forhold som kan knytte seg både til arbeidsgiver og samfunnet generelt. Fordi personverninteressene ikke er enerådende må det foretas interesseavveininger. I norsk arbeidsliv er det et generelt ønske om å tilstrebe likevekt mellom partene. 66 Et spørsmål som reiser seg i denne forlengelse er hvor arbeidsgivers rettigheter, kontroll- og behandlingsbehov kolliderer med arbeidstakerens personvern. 67 Dette er blant annet et spørsmål om når behovene for å behandle personopplysninger om arbeidstaker ansees viktigere enn dennes personvern. Herunder om de inngrepene dette medfører kan forsvares fordi behandlingen er nødvendig for å oppfylle arbeidsavtalen eller ivareta arbeidsgivers berettigede interesse. Disse avveiningene er vanskelige, især da det hovedsaklig er usammenlignbare størrelser som må veies mot hverandre. Det er grunn til å nevne at det i generelle 62 Jfr. punkt Schartum og Bygrave 2011 s NOU punkt flg. 65 I forhold til personopplysningsloven 8 f kommenterer Justisdepartementet at hensynet til den registrertes personvern skal veie tungt, særlig dersom de motstående interessene er økonomiske eller kommersielle jfr. Ot.prp.nr.92 ( ) s Kjølaas 2010 s I.c. 18

23 avveininger skal svært mye til for at personverninteressene helt kan settes til side, 68 eventuelt om det faktisk ikke finnes noen situasjoner der disse kan bli satt helt til side. I det følgende pekes det på enkelte argumenter og hensyn for og i mot at arbeidsgiver behandler personopplysninger. Fremstillingen tar sikte på å vise noen ulike, og delvis motstridende interessene fra henholdsvis arbeidsgivers og arbeidstakers side. 2.2 Arbeidsgivers behov og interesser i behandling Det er flere forhold som kan tilsi at arbeidsgiver har en interesse i å kontrollere arbeidstakerne og ellers behandle opplysninger om dem. Arbeidsgiver har en rekke plikter knyttet til arbeidsforholdet og arbeidsavtalen og har således en interesse i å behandle opplysninger som er nødvendig for eller letter oppfyllelsen av disse pliktene. Arbeidsgiver har også en rekke rettigheter i tilknytning til arbeidsforholdet, og vil i den sammenheng kunne ha et behov for kontrollere og styre bruken av egne ressurser mer effektivt. Dette har også en side mot styringsretten. Som nevnt i punkt preges dagens arbeidsliv av en stadig større utvisking mellom privatliv og -tid og arbeidsliv og -tid. Arbeidsgiver kan altså ha et behov for å forsikre seg om at arbeidstiden blir overholdt og for øvrig ikke brukt til private gjøremål. Også det behov at arbeidsinnsats og kompetanse er tilstrekkelig kan nevnes. 69 Arbeidsgivers ønske om å avdekke (eventuell) kriminalitet eller illojalitet, er andre eksempler. I kraft av styringsretten tar arbeidsgiver mange beslutninger, og personopplysninger inngår ofte som en viktig del av beslutningsgrunnlaget. I tillegg kan det være nødvendig at personopplysninger behandles i forbindelse med arbeidsgivers offentligrettslige forpliktelser. 68 Schartum og Bygrave 2011 s Kjølaas 2010 s

24 2.3 Arbeidstakers interesser og behov Folk flest tilbringer store deler av både dagen og livet på en arbeidsplass. Det er da klart at hvordan hver enkelt opplever situasjonen her har stor betydning for livskvaliteten generelt. Dette tilsier at arbeidstakers personlig integritet vernes også i jobbsammenheng, noe som er fastslått av både Høyesterett 70 og EMD. 71 Selv om ansatte er på jobb for å utføre arbeid for arbeidsgiver, er behovet for et visst vern fremtredende. Det vil kunne føles svært belastende å ikke oppleve noen form for privat sfære på jobb, for eksempel ved at arbeidsgiver skal ha tilgang til og behandlingsadgang for et omfattende sett av opplysninger. Arbeidstaker har altså en interesse i og et behov for en begrensning i arbeidsgivers behandlingsadgang. Arbeidsgivers beslutningsmyndighet er et forhold som tilsier at arbeidstaker har en interesse i at arbeidsgivers behandlingsadgang er begrenset. De ulike beslutningene arbeidsgiver fatter i løpet av arbeidsforholdet bygger ofte på personopplysninger, og vil kunne ha store konsekvenser for arbeidstaker. Den ansatte har derfor en interesse i at arbeidsgiver ikke samler inn personopplysninger som er unødvendige og irrelevante i forhold til den enkelte beslutning. Desto større betydning beslutningen har for den enkelte, desto viktigere er de tilknyttede personvernspørsmålene. 72 Dette tilsier at innsamlingen og øvrig bruk av personopplysningene begrenses til det nødvendige i forhold til den enkelte beslutning. 73 Et siste synspunkt som kan trekkes frem i denne sammenheng, og som henger sammen med det forrige, er den makten arbeidsgiver alltid har overfor arbeidstaker. For å forhindre at maktbalansen forskyves ytterligere, kan arbeidstaker ha en interesse i at arbeidsgiver ikke registrerer og har tilgang til for mange personopplysninger. I tillegg ligger det et misbrukspotensiale i å ha tilgang til mange opplysninger. Blant annet fordi opplysninger fra ulike systemer kan sammenstilles og gi informasjon ut over det 70 Rt s. 616 jfr. også punkt Niemitz vs. Germany (dom ), Halford vs. United Kingdom sak (dom ) og Copland vs. United Kingdom (dom , særlig avsnitt 41). 72 Schartum og Bygrave 2011 s Sml. Bing 2009 s

25 nødvendige. Opplysninger kan også misbrukes ved at de blir brukt til andre formål enn de er innsamlet for, eksempelvis til å sverte arbeidstaker. Det er likevel grunn til å fremheve at arbeidstaker kan være interessert i at arbeidsgiver behandler enkelte personopplysninger for visse formål, for eksempel i den grad det er nødvendig for at han skal kunne hevde sine rettigheter som lønnsutbetaling, tjenestepensjon mv. Enkelte behandlingsformer kan oppleves som et bidrag til trygghet. Når det gjelder GPS-registrering gir systemet opplysninger om arbeidstakers sanntidslokasjon og vil således kunne være egnet til å komme en forulempet arbeidstaker raskt til unnsetning. At dette kan oppleves som en trygghetskilde fremgår av Fafo-rapporten Også behandling av sensitive opplysninger som helseopplysninger, kan være i arbeidstakers interesse. Eksempelvis er arbeidsgivers oppfyllelse av tilretteleggingsplikten avhengig av at visse helseopplysninger behandles. 75 Arbeidstakers interesse i behandling er selvfølgelig forutsatt at behandlingen begrenses til det som er nødvendig for det enkelte formål. 74 S der også flere eksempler gis. 75 Jfr. f.eks. arbeidsmiljøloven

26 3 Nødvendighetskravet 3.1 Innledning og den videre fremstilling En grunnforutsetning for behandling av personopplysninger er at minst et av de tre lovlig behandlingsgrunnlagene foreligger, jfr. personopplysningsloven 11 a jfr. 8 og 9 for henholdsvis vanlige og sensitive personopplysninger. Som nevnt i punkt kan arbeidsgiver blant annet behandle personopplysninger om arbeidstaker dersom det er nødvendig for å oppfylle arbeidsavtalen eller for å ivareta en berettiget interesse jfr. 8 a og f. Dette reiser spørsmål om hva som etter loven regnes som nødvendig, hva som menes med arbeidsavtalen og med berettiget interesse. Arbeidsavtalebegrepet og berettiget interesse drøftes i kapittel fire. Nødvendighetsprinsippet kommer til uttrykk flere steder i personopplysningsloven. Blant annet i 8 og 9 om krav til behandlingsgrunnlag. Prinsippet kommer også til uttrykk i 11 første ledd b og c om krav til hvilke opplysninger som kan behandles. 76 I det følgende er det først og fremst nødvendighetskravets innhold i 8 som skal drøftes. I punkt Error! Reference source not found. gis en fremstilling hva som generelt ligger i kravet til nødvendig grunn, da dette antas å være veiledende også i relasjon til bokstav a og f. Vil det si uunnværlig eller et mindre strengt behov for at behandlingen blir foretatt? Nødvendighetskravets innhold En behandling av personopplysninger kan etter personopplysningsloven 8 foretas dersom den er nødvendig av en av, de til dels svært vurderingspregede, grunnene i bokstavene a-f. 78 Teoretisk sett kan det hevdes at det foreligger seks ulike nødvendighetskrav NOU s. 168 om nødvendighetskravet generelt. 77 Schartum og Bygrave 2011 s Schartum og Bygrave 2011 s Jørstad s. 48 note

27 Rettskildesituasjonen rundt nødvendighetskravets betydning og nærmere innhold er nesten å beskrive som et rettskildevakuum. 80 Jeg har heller ikke funnet teori som sier noe særlig om hva det innebærer at en behandling er nødvendig. 81 Derimot har NOU og Ot.prp.nr.108 ( ) noen uttalelser om innholdet. Disse antas å være generelle, blant annet fordi vilkåret omtales som en rettslig standard og et sentralt personvernrettslig prinsipp som gjelder for all behandling av personopplysninger. 82 Lovens ordlyd tilsier at det må foretas en konkret og skjønnsmessig vurdering. Det kreves neppe at behandlingen er eneste mulighet for å oppnå formålet. Det er likevel ikke tilstrekkelig at den konkrete behandlingen bare er enklest. 83 I følge EMDs praksis kreves at det foreligger [a] pressing social need, eller et påtrengende samfunnsmessig behov. 84 EU-domstolen har imidlertid i sin tolkning av direktivets art. 7 e 85 formulert en effektivitetsbetraktning. 86 I dette ligger at behandlingen tilfredsstiller kravet dersom behandlingsformålet på den måten kan oppnås mer effektivt. Hvorvidt synspunktet er overførbart de til andre nødvendighetsalternativene er imidlertid usikkert. I tillegg kommer at direktivet er et minimumsdirektiv. Justisdepartementet uttaler i Ot.prp.nr.108 ( ) at momenter som generelt inngår i nødvendighetsvurderingen er behandlingens formål, inngrepets karakter og behandlingens omfang. Dette innebærer at må alltid foretas en 80 Se punkt Av den teori jeg har funnet er det Stefan Jørstad i Complex 3/04 som går dypest inn i en analyse selve kriteriet nødvendig. Ettersom dette er en studentavhandling, kan det stilles spørsmål ved rettskildevekten. 82 Ot.prp.nr.108 ( ) s. 77 og punkt Ot.prp.nr.108 ( ) s Schartum og Bygrave 2011 s. 165 med videre henvisninger til blant annet Leander mot Sverige (dom avsnitt 58). 85 Tilsvarer personopplysningsloven 8 e. 86 Schartum og Bygrave 2011 s. 165 med videre henvisninger i notene 277 og

28 forholdsmessighetsvurdering. 87 Også Datatilsynet legger tilsynelatende til grunn at dette er momenter som inngår i nødvendighetsvurderingen. Videre ligger innebygget i nødvendighetskravet et saklighetskrav og et forholdsmessighetskrav, noe som eksplisitt fremkommer av 11 b og d. 88 Fordi en behandling heller ikke kan foretas dersom ikke grunnkravene i 11 er oppfylt, har nødvendighetskravet nær sammenheng med disse. Videre kan det vanskelig sies at en behandling er nødvendig dersom den ikke er saklig. Jeg kommer av plasshensyn ikke særskilt inn på bestemmelsen, men det er all grunn til å se 8 i sammenheng med 11, noe som til en viss grad vil prege drøftelsen. Det må legges til grunn at de nevnte momentene også inngår i vurderingen av om det er nødvendig at arbeidsgiver behandler personopplysninger om arbeidstaker. I følge Jørstad kan det generelle nødvendighetskrav i personopplysningsloven 8 deles inn i tre underkrav som delvis flyter noe over i hverandre; et kvalifikasjonskrav, et saklighetskrav og et krav til omfangsbegrensning. 89 Av den foreliggende rettspraksis er det ingen dommer som eksplisitt nevner disse momentene og kravene som en del av nødvendighetskravet. Det går muligens an å trekke ut fra domspremissene at avgjørelsene bygger på et slikt syn, da det ser ut som om domstolene vektlegger nettopp behandlingens formål, inngrepets karakter og forholdsmessighet. I det følgende ser jeg nærmere på det generelle innholdet i kravene til formål, saklighet, omfangsbegrensning og forholdsmessighet Formålet med behandlingen EMDs uttalelse om at det må foreligge [a] pressing social need viser at behovet for å foreta en behandling står sentralt. 87 Punkt og E-post fra Mari Hersoug Nedberg i Datatilsynet Jørstad s. 48 med videre henvisning til NOU s

29 I følge departementet står behandlingens formål sentralt i nødvendighetsvurderingen. Datatilsynet ser også ut til å legge til grunn at det er den formålsdefinerte bruken av personopplysninger som kjennetegner personopplysningsloven, 90 jfr. også personopplysningsloven 11 b. Dette innebærer at desto viktigere formål, desto mindre kreves for at behandlingen ansees nødvendig. Et reelt og kvalifisert behov kan sies å gi uttrykk for et (relativt) viktig formål. Videre stilles større krav til formålets viktighet og behovet ellers dersom personverninngrepet behandlingen medfører er alvorlig. 91 Det kreves altså at det personverninngrepet behandlingen representerer er forholdsmessig ut ifra det som søkes oppnådd med den. For eksempel slik at ved behandling av (særlig) private opplysninger vil (beskjedne)økonomiske formål neppe være tilstrekkelig viktige formål, mens fare for liv og helse kan tilsi behandling. Formålets viktighet har altså en side både mot nødvendigheten og det inngrepet behandlingen medfører. Rt s. 518 kan sies å gi uttrykk for et krav til formålets viktighet og virksomhetens behov. Hovedspørsmålet i saken var gyldigheten av en avskjed gitt som følge av at det var avdekket nedlasting og lagring av pornografisk materiale på arbeidsgivers PC. I den forbindelse kom spørsmålet om arbeidsgivers adgang til å søke etter den type filer opp. Høyesterett presiserte at det måtte foretas vanskelige avveininger mellom arbeidsgivers legitime behov for kontroll og arbeidstakerens behov for beskyttelse av privatliv. Videre ser retten ut til å begrunne arbeidsgivers undersøkelsesbehov med den sikkerhetsrisiko nedlasting av pornografisk materiale medfører. 92 Retten konkluderte med at personopplysningsloven ikke var overtrådt. Avgjørelsen gir også uttrykk av at formålet og behovet for å foreta et søk ble veiet opp mot det inngrepet behandlingen medførte for arbeidstaker. En slik forholdsmessighetsvurdering mellom formål og inngrep i personlige integritet er også i samsvar med Personvernkommisjonens uttalelse om at inngrepet ikke må være 90 E-post fra Mari Hersoug Nedberg Ot.prp.nr.108 ( ) s. 79 jfr. NOU s Avsnitt

30 uforholdsmessig i forhold til det arbeidsgiver prøver å oppnå. Forholdsmessigheten mellom mål og middel fremheves også Saklighetskravet Saklighetskravet kommer eksplisitt til uttrykk i personopplysningsloven 11 b og innebærer at den aktuelle behandling må ha et uttrykkelig angitt og forsvarlig formål som er saklig begrunnet i den behandlingsansvarliges virksomhet. Kravet er todelt og ansees som et generelt personvernrettslig prinsipp innen arbeidslivet. 94 Gode grunner taler for å innfortolke et saklighetskrav (også) i selve nødvendighetsvurderingen. Det kan vanskelig tenkes at en usaklig behandling kan sies å være nødvendig. 95 For øvrig kan nevnes at Jørstad mener at behandlingen av de aktuelle personopplysninger må være egnet til og nødvendig for å oppnå dette formålet Uttrykkelig angitt formål I kravet til uttrykkelighet ligger at formålet må angis mer presist enn behandlingsgrunnene slik de er listet opp i 8 a-f og For eksempel innebærer dette at dersom formålet med den elektroniske tilgangskontrollen er å registrere passeringsopplysninger til bruk for lønnsberegning, er det lønnsberegning og ikke oppfyllelse av arbeidsavtalen som må angis. Dette forhindrer at arbeidsgiver tar i bruk samme system og passeringsopplysninger til kontrollformål, som kontroll av at arbeidstiden overholdes NOU s. 151 og Ibid s E-post fra Mari Hersoug Nedberg i Datatilsynet og Jørstad s Jørstad s Ot.prp.nr.92 ( ) s En annen sak er at begge formål i og for seg kan være saklige, poenget her er at i saklighets- og uttrykkelighetskravet ligger at formålet må angis relativt presist og eksplisitt. Eksempelet har også en side mot det såkalte finalitetsprinsippet jfr. personopplysningsloven 11 c jfr. Wiik Johansen m.fl. s